Pourquoi un petit site intéresse les pirates
On imagine souvent que seuls les grands sites sont visés. En réalité, beaucoup d’attaques sont automatisées : des programmes parcourent le web à la recherche de failles connues, sans regarder la taille de l’entreprise. Un site oublié, avec une extension jamais mise à jour, est une cible facile.
Les conséquences sont concrètes : site inaccessible, image dégradée, messages frauduleux envoyés en votre nom, données de clients exposées. La bonne nouvelle, c’est que quelques mesures simples ferment la plupart des portes.
Les mesures essentielles
Mettre à jour, sans attendre
Cybermalveillance.gouv.fr rappelle que logiciels et appareils contiennent des failles que les éditeurs corrigent par des mises à jour. Sa recommandation : les appliquer dès qu’elles sont disponibles, activer les mises à jour automatiques quand c’est possible et ne les télécharger que depuis les sites ou canaux officiels. Pour un site, cela concerne le moteur du site (CMS), ses extensions et ses thèmes, mais aussi les ordinateurs depuis lesquels vous vous y connectez.
- Faites l’inventaire de ce qui compose votre site : rien ne doit être oublié.
- Supprimez les extensions que vous n’utilisez plus.
- Sauvegardez avant une mise à jour importante.
- Méfiez-vous des fausses alertes de mise à jour dans des fenêtres publicitaires.
Sauvegarder, et vérifier que la sauvegarde fonctionne
Le dispositif public conseille de sauvegarder régulièrement, de conserver plusieurs copies dont une à un autre endroit que les données d’origine, de garder une copie sur un support déconnecté et de vérifier régulièrement que la sauvegarde fonctionne, par exemple en la restaurant. Pour un site, demandez où sont stockées les sauvegardes, à quelle fréquence elles sont faites et si une restauration a déjà été testée.
Des mots de passe solides et la double authentification
Cybermalveillance.gouv.fr recommande des mots de passe longs, complexes et différents pour chaque compte, un gestionnaire de mots de passe, et la double authentification chaque fois que c’est possible. Cela vaut pour l’administration du site, l’hébergement, le nom de domaine et la messagerie : un pirate qui prend votre email peut réinitialiser tous les autres accès.
Séparer les usages
Autre conseil du dispositif : séparer les usages personnels et professionnels (appareils, messageries, stockage) pour limiter l’impact d’un piratage. Évitez aussi les Wi-Fi publics ou inconnus pour vous connecter à l’administration de votre site.
Les points propres à un site internet
Au-delà des mesures générales, quelques vérifications s’appliquent directement à votre site :
- L’adresse commence par https et le navigateur n’affiche aucun avertissement de sécurité.
- Chaque personne qui intervient sur le site a son propre compte, avec seulement les droits dont elle a besoin.
- Les comptes des anciens prestataires ou salariés sont supprimés.
- Les formulaires ne collectent que les informations nécessaires, et les messages reçus ne restent pas indéfiniment stockés.
- Vous savez qui contacter, et comment, si le site tombe ou affiche un contenu étrange.
Ce qu’il faut demander à votre prestataire
Si un prestataire gère votre site, la sécurité dépend en grande partie de lui. Posez-lui des questions précises : qui fait les mises à jour, à quel rythme, où sont les sauvegardes, comment se passe une restauration, qui détient les accès administrateur. Une réponse floue est déjà un signal.
Chez nous, le mensuel des sites comprend l’hébergement et la maintenance, en plus des petites modifications (textes, photos, horaires). L’hébergement est choisi avec vous, y compris en Europe, et vous gardez vos accès. Nos sites vitrines démarrent à 490 € HT puis 15 € HT par mois.
Et si le site est déjà ancien ?
Un site construit il y a longtemps, sur des briques plus maintenues, peut coûter plus cher à sécuriser qu’à refaire. Notre diagnostic gratuit vérifie en quelques secondes si votre site est en https et s’il s’affiche correctement sur téléphone : un premier repère avant de décider.
En cas de problème
Si votre site affiche un contenu que vous n’avez pas publié, ou si vous perdez l’accès à un compte, prévenez immédiatement votre prestataire ou votre hébergeur, changez les mots de passe concernés depuis un appareil sain et conservez les éléments utiles (captures, messages reçus).
Informations vérifiées le 4 novembre 2026 sur cybermalveillance.gouv.fr. Ce guide donne des repères généraux et ne remplace pas un audit de sécurité.